Risques

  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

qmailadmin versions sources 1.2.8 et 1.2.9.

Résumé

Un utilisateur distant mal intentionné peut utiliser un lien réticulaire (URL) habilement construit pour exécuter du code arbitraire sur le système hôte du programme qmailadmin avec les droits de l'administrateur.

Description

qmailadmin est utilitaire de gestion par interface « web » des domaines virtuels d'un service de messagerie utilisant qmail. Ce programme est invoqué par un serveur « web » hôte.

Un débordement de tampon dans la gestion des informations sur la requête transmises par le serveur peut être utilisée pour exécuter du code arbitraire avec les privilèges du programme, soit root.

Contournement provisoire

Restreindre à l'accès à l'interface « web » d'administration à des systèmes de confiance au moyen d'un pare-feu ou de directives dans la configuration du serveur.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation) ou mettre à jour les sources en version 1.2.10 au moins.

Documentation